google-maps - 谷歌地图嵌入 API 限制在本地不起作用

Question

我有一个受 HTTP 引荐来源限制的 Google Maps API 密钥。当我尝试在具有真实域的托管网站中的 iframe 中加载嵌入地图时，该限制有效。

但是，当我在本地尝试时，限制无效（通过 file://local/path/to/test.htm 加载），并且 iframe 加载它的内容而没有任何警告或错误消息。

我担心的是，攻击者是否会滥用该密钥来消耗积分并增加与我的帐户相关的账单。

标签： google-mapssecurity

Answer 1

原因如下：

如果嵌入地图使用基本嵌入请求，Google 不会检查限制，因为该 API 的使用是免费的。

https://www.google.com/maps/embed/v1/place?q=Seattle&key=KEY

但如果使用高级地图模式，则限制适用。

https://www.google.com/maps/embed/v1/search?q=record+stores+in+Seattle&key=KEY